将“敏感”文件添加到Chrome Devtools工作区的风险

Question

8

当从本地文件系统向Chrome DevTools工作区添加文件夹时，您会收到一个对话框提示，警告您在授权之前“不要公开任何敏感信息”。

这样做的具体风险是什么？工作区是否容易被扩展程序或脚本注入访问？

- Justin W.

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- PhistucK · Accepted Answer

"我们使用与常规网站/Chrome应用程序相同的API，因此这不是DevTools特有的。我想理论上，如果您将工作区映射到恶意站点，然后使用打开DevTools的方式实时编辑您的站点，则该站点可能会检测到您的编辑？但这非常复杂。

我们假设工作区中的信息是项目的数据。我不会将/etc/passwd添加到DevTools工作区中。"

来自审查 -

"如何撤消访问权限？如果我犯了一个错误，可以删除.allow-devtools-edit文件。我没有看到使用新方法的方法。

我不确定信息栏是否足够强大。有一类用户会单击此选项，但从未愿意或聪明到足够在其计算机上放置.allow文件."

以及 -

"消息应该更加可怕，谈论确保该目录中没有敏感信息。"

虽然原始问题是关于以前的方法（添加文件到文件夹以允许映射），但它也说 -

"DevTools需要文件系统访问权限，以允许开发人员编辑/添加源代码（即使这些源代码没有从服务器加载，例如部署描述符，服务器脚本）。

我们计划使用文件系统API（隔离的文件系统）。要将文件夹添加到DevTools中，用户将需要：

1.在文件夹中添加一个空的.allow-devtools-edit文件（出于安全目的）"

我猜因为开发者工具扩展程序可能能够读取您映射的文件，它可能会暴露高度敏感的信息，例如未加密的用户名和密码，这些信息可能会在配置文件中找到。